settings.json

sandbox.filesystem.allowManagedReadPathsOnly

型boolean既定値false記述場所管理者設定のみ

管理設定専用。trueの場合、管理設定で定義されたallowReadパスのみが尊重され、ユーザーやプロジェクトによる追加の読み取り許可設定を無視します。

記述例

{
  "sandbox": {
    "filesystem": {
      "denyRead": ["~/"],
      "allowRead": ["~/work"],
      "allowManagedReadPathsOnly": true
    }
  }
}

使い方・用途

  • 組織の管理者が定義したファイルアクセス制限を徹底し、ユーザーが勝手に読み取り許可範囲を広げることを防止したい場合に活用します。
  • 複数の管理設定ソースがある場合でも制限が正しくマージされるため、組織全体のセキュリティポリシーを一貫して適用できます。
英語原文(公式ドキュメントより)

(Managed settings only) When true, only allowRead paths from managed settings are used; user, project, and local allowRead entries are ignored. denyRead still merges from all sources. See https://code.claude.com/docs/en/sandboxing#filesystem-isolation

関連ドキュメント

関連する変更履歴

v2.1.126(1件)

Changed
優先度の高い管理設定にsandboxブロックがない場合、低い優先度の管理設定のドメイン/読み取り制限が無視されるセキュリティ上の問題を修正しました
英語原文を表示
**Security:** Fixed allowManagedDomainsOnly / allowManagedReadPathsOnly being ignored when a higher-priority managed-settings source lacked a sandbox block

変更後

組織の管理者によって定義されたセキュリティ制限が漏れなく適用されるようになり、意図しないドメインへのアクセスやファイル読み取りをより確実に防止できます。

関連ドキュメント